問1
問1 Web アプリケーションソフトウェアの脆弱性を悪用する攻撃手法のうち，入力した文字列が PHP の exec 関数などに渡されることを利用し，不正にシェルスクリプトを実行させるものは，どれに分類されるか。
- ア HTTP ヘッダインジェクション
- イ OS コマンドインジェクション
- ウ クロスサイトリクエストフォージェリ
- エ セッションハイジャック
情報処理安全確保支援士 2023年 秋期 午前II 問題
情報処理安全確保支援士 2023年 秋期 午前IIの問題文23問です。図・表・別冊資料と正解は掲載していませんので、出典の公表資料またはアプリでご確認ください。
問2
問2 TLS 1.3 の暗号スイートに関する説明のうち，適切なものはどれか。
- ア AEAD (Authenticated Encryption with Associated Data) とハッシュアルゴリズムの組みで構成されている。
- イ TLS 1.2 で規定されている共通鍵暗号 AES-CBC をサポート必須の暗号アルゴリズムとして継続利用できるようにしている。
- ウ Wi-Fi アライアンスにおいて規格化されている。
- エ サーバとクライアントのそれぞれがお互いに別の暗号アルゴリズムを選択できる。
問3
VA(Validation Authority）の役割はどれか。
- ア 属性証明書の発行を代行する。
- イ デジタル証明書にデジタル署名を付与する。
- ウ デジタル証明書の失効状態についての問合せに応答する。
- エ 本人確認を行い，デジタル証明書の発行を指示する。
問4
問4 XML デジタル署名の特徴として，適切なものはどれか。
- ア XML 文書中のエレメントに対するデタッチ署名（Detached Signature）を作成し，同じ XML 文書に含めることができる。
- イ エンベローピング署名（Enveloping Signature）では一つの署名対象に複数の署名を付与する。
- ウ 署名の書式として，CMS (Cryptographic Message Syntax) を用いる。
- エ デジタル署名では，署名対象と署名アルゴリズムを ASN.1 によって記述する。
問5
問５ クリプトジャッキングに該当するものはどれか。
- ア PC に不正アクセスし，その PC のリソースを利用して，暗号資産のマイニングを行う攻撃
- イ 暗号資産取引所の Web サイトに不正ログインを繰り返し，取引所の暗号資産を盗む攻撃
- ウ 巧妙に細工した電子メールのやり取りによって，企業の担当者をだまし，攻撃者の用意した暗号資産口座に送金させる攻撃
- エ マルウェア感染した PC に制限を掛けて利用できないようにし，その制限の解除と引換えに暗号資産を要求する攻撃
問6
問６ マルウェア Mirai の動作はどれか。
- ア IoT 機器などで動作する Web サーバプログラムの脆弱性を悪用して感染を広げ，Web ページを改ざんし，決められた日時に特定の IP アドレスに対して DDoS 攻撃を行う。
- イ Web サーバプログラムの脆弱性を悪用して企業の Web ページに不正な JavaScript を挿入し，当該 Web ページを閲覧した利用者を不正な Web サイトへと誘導する。
- ウ ファイル共有ソフトを使っている PC 内でマルウェアの実行ファイルを利用者が誤って実行すると，PC 内の情報をインターネット上の Web サイトにアップロードして不特定多数の人に公開する。
- エ ランダムな宛先 IP アドレスを使用して IoT 機器などに感染を広げるとともに，C&C サーバからの指令に従って標的に対して DDoS 攻撃を行う。
問7
インターネットバンキングでの MITB 攻撃による不正送金について，対策として用いられるトランザクション署名の説明はどれか。
- ア 携帯端末からの送金取引の場合，金融機関から利用者の登録メールアドレスに送金用のワンタイムパスワードを送信する。
- イ 特定認証業務の認定を受けた認証局が署名したデジタル証明書をインターネットバンキングでの利用者認証に用いることによって，ログインパスワードが漏えいした際の不正ログインを防止する。
- ウ 利用者が送金取引時に，“送金操作を行う PC とは別のデバイスに振込先口座番号などの取引情報を入力して表示された値”をインターネットバンキングに送信する。
- エ ログイン時に，送金操作を行う PC とは別のデバイスによって，一定時間だけ有効なログイン用のワンタイムパスワードを算出し，インターネットバンキングに送信する。
問8
問8 SAML (Security Assertion Markup Language) の説明はどれか。
- ア Webサーバにある利用者のリソースに，Webサーバに限らない他のサーバが利用者に代わってアクセスすることを許可するための認証プロトコル
- イ 異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための，XMLをベースにした標準規格
- ウ 利用者IDとしてURL又はXRI (Extensible Resource Identifier) だけを使用することができ，一つの利用者IDで様々なWebサイトにログインできる仕組み
- エ 利用者が文書やデータの属性情報や論理構造を定義する言語であるSGMLを，インターネット用に最適化したもの
問9
公開鍵基盤における CPS (Certification Practice Statement) に該当するものはどれか。
- ア 認証局が発行するデジタル証明書の所有者が策定したセキュリティ宣言
- イ 認証局でのデジタル証明書発行手続を代行する事業者が策定したセキュリティ宣言
- ウ 認証局の認証業務の運用などに関する詳細を規定した文書
- エ 認証局を監査する第三者機関の運用などに関する詳細を規定した文書
問10
総務省及び国立研究開発法人情報通信研究機構（NICT）が 2019 年 2 月から実施している取組 “NOTICE” に関する記述のうち，適切なものはどれか。
- ア NICT が運用するダークネット観測網において，マルウェアに感染した IoT 機器から到達するパケットを分析した結果を当該機器の製造者に提供し，国内での必要な対策を促す。
- イ 国内のグローバル IP アドレスを有する IoT 機器に対して，容易に推測されるパスワードを入力することなどによって，サイバー攻撃に悪用されるおそれのある機器を調査し，インターネットサービスプロバイダを通じて当該機器の利用者に注意喚起を行う。
- ウ 国内の利用者からの申告に基づき，利用者の所有する IoT 機器に対して無料でリモートから，侵入テストや OS の既知の脆弱性の有無の調査を実施し，結果を通知するとともに，利用者が自ら必要な対処ができるよう支援する。
- エ 製品のリリース前に，不要にもかかわらず開放されているポートの存在，パスワードの設定漏れなど約 200 項目の脆弱性の有無を調査できるテストベッドを国内の IoT 機器製造者向けに公開し，市場に流通する IoT 機器のセキュリティ向上を目指す。
問12
脆弱性管理，測定，評価を自動化するために NIST が策定した基準はどれか。
- ア FIPS (Federal Information Processing Standards)
- イ SCAP (Security Content Automation Protocol)
- ウ SIEM (Security Information and Event Management)
- エ SOAR (Security Orchestration, Automation and Response)
問13
DNSSEC に関する記述のうち，適切なものはどれか。
- ア 権威 DNS サーバが，DNS 問合せに対する応答時に，リソースレコードを公開鍵暗 号方式で暗号化することによって，通信経路上の盗聴を防ぐ。
- イ 権威 DNS サーバが，リソースレコードの受信時にデジタル署名を検証することに よって，データの作成元の正当性とデータの完全性を確認する。
- ウ リゾルバが、DNS 問合せに対する応答時に，リソースレコードを公開鍵暗号方式 で暗号化することによって，通信経路上の盗聴を防ぐ。
- エ リゾルバが，リソースレコードの受信時にデジタル署名を検証することによって， データの作成元の正当性とデータの完全性を確認する。
問14
問14 OAuth 2.0 に関する記述のうち，適切なものはどれか。
- ア 認可を行うためのプロトコルであり，認可サーバが，アクセスしてきた者が利用者（リソースオーナー）本人であるかどうかを確認するためのものである。
- イ 認可を行うためのプロトコルであり，認可サーバが，利用者（リソースオーナー）の許可を得て，サービス（クライアント）に対し，適切な権限を付与するためのものである。
- ウ 認証を行うためのプロトコルであり，認証サーバが，アクセスしてきた者が利用者（リソースオーナー）本人であるかどうかを確認するためのものである。
- エ 認証を行うためのプロトコルであり，認証サーバが，利用者（リソースオーナー）の許可を得て，サービス（クライアント）に対し，適切な権限を付与するためのものである。
問15
通信の暗号化や利用者の認証の機能をもち，遠隔にあるコンピュータに安全にログインするためのプロトコルはどれか。
- ア L2TP
- イ LDAP
- ウ RADIUS
- エ SSH
問16
電子メールをスマートフォンのメール・アプリケーションプログラムで受信する際のメールサーバとスマートフォンとの間の通信を，メール本文を含めて暗号化するプロトコルはどれか。
- ア APOP
- イ IMAPS
- ウ POP3
- エ SMTP Submission
問17
問17 セキュリティ対策として，次の条件の下でデータベース（DB）サーバを DMZ から内部ネットワークに移動するような次のネットワーク構成の変更を計画している。このとき，ステートフルパケットフィルタリング型のファイアウォール（FW）において，必要となるフィルタリングルールの変更のうちの一つはどれか。 〔条件〕 (1) Web アプリケーション（WebAP）サーバを，インターネットに公開し，HTTPS でアクセスできるようにする。 (2) WebAP サーバ上のプログラムだけが DB サーバ上の DB に接続でき，ODBC（Open Database Connectivity）を使用して特定のポート間で通信する。 (3) SSH を使用して各サーバに接続できるのは，運用管理 PC だけである。 (4) フィルタリングルールは，必要な通信だけを許可する設定にする。 〔ネットワーク構成の変更〕 表の見出し：ルールの変更種別、ルール（送信元、宛先、サービス、制御）
- ア 削除 インターネット WebAP サーバ HTTPS 許可
- イ 削除 運用管理 PC 変更前の DB サーバ SSH 許可
- ウ 追加 WebAP サーバ 変更後の DB サーバ SSH 許可
- エ 追加 インターネット WebAP サーバ ODBC 許可
問18
クラス C のネットワークを，50 ノードずつ収納できる四つのサブネットに分割した場合のサブネットマスクはどれか。
- ア 255.255.255.0
- イ 255.255.255.64
- ウ 255.255.255.128
- エ 255.255.255.192
問19
複数ノードから成るグループにマルチキャストでデータを送るときに，宛先として使用できる IP アドレスはどれか。
- ア 10.0.1.1
- イ 127.0.1.1
- ウ 192.168.1.1
- エ 239.0.1.1
問20
DHCP のクライアントが，サーバから配布された IPv4 アドレスを，クライアント自身のホストアドレスとして設定する際に，そのアドレスが他のホストに使用されていないことを，クライアント自身でも確認することが推奨されている。この確認に使用するプロトコルとして，適切なものはどれか。
- ア ARP
- イ DNS
- ウ ICMP
- エ RARP
問21
DBMS のデータディクショナリはどれか。
- ア DBMS 内部でのソートデータ、サブクエリを展開したデータなど、一時的なデー タを格納したもの
- イ 障害が発生した場合にバックアップを取った時点まで回復させるため，データべ 一ス自体の複製を格納したもの
- ウ データベースに関するユーザー情報，データ構造など，データベース管理情報を 格納したもの
- エ ユーザーからの指示によるデータベースの読込み情報，書込み情報などを格納し たもの
問22
問22 目的別のサービスが多数連携して動作する大規模な分散型のシステムでは，障害時の挙動を予知することが困難である。このようなシステムにおいて，ステージング環境や本番環境で意図的に障害を引き起こしてシステムの挙動を観察し，発見した問題を修正することを継続的に実施し，システムの耐障害性及びシステム運用の信頼性を高めていく手法はどれか。
- ア DevOps
- イ Infrastructure as Code
- ウ カオスエンジニアリング
- エ テスト駆動開発
問23
アジャイル開発手法の説明のうち，スクラムのものはどれか。
- ア コミュニケーション，シンプル，フィードバック，勇気，尊重の五つの価値を基礎とし，テスト駆動型開発，ペアプログラミング，リファクタリングなどのプラクティスを推奨する。
- イ 推測（プロジェクト立上げ，適応的サイクル計画），協調（並行コンポーネント開発），学習（品質レビュー，最終 QA／リリース）のライフサイクルをもつ。
- ウ プロダクトオーナーなどの役割，スプリントレビューなどのイベント，プロダクトバックログなどの作成物，及びルールから成る。
- エ モデルの全体像を作成した上で，優先度を付けた詳細なフィーチャリストを作成し，フィーチャを単位として計画し，フィーチャごとの設計と構築とを繰り返す。
問25
データベースの直接修正に関して，監査人が，システム監査報告書で報告すべき指摘事項はどれか。ここで，直接修正とは，アプリケーションソフトウェアの機能を経由せずに，特権 ID を使用してデータを追加，変更又は削除することをいう。
- ア 更新ログ上は，アプリケーションソフトウェアの機能を経由したデータ更新として記録していた。
- イ 事前のデータ変更申請の承認，及び事後のデータ変更結果の承認を行っていた。
- ウ 直接修正の作業終了時には，直接修正用の特権 ID を無効にしていた。
- エ 利用部門からのデータ変更依頼票に基づいて，システム部門が直接修正を実施していた。
出典
各問題の下に出典を記載しています。